Дело C‑673/17
Bundesverband der Verbraucherzentralen und Verbraucherverbände — Verbraucherzentrale Bundesverband eV
срещу
Planet49 GmbH
(Преюдициално запитване от Bundesgerichtshof (Федерален върховен съд, Германия)
Решение на Съда (голям състав) от 1 октомври 2019 година
„Преюдициално запитване — Директива 95/46/ЕО — Директива 2002/58/ЕО — Регламент (ЕС) 2016/679 — Обработка на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации — „Бисквитки“ — Понятие за съгласие на субекта на данни — Изявление за даване на съгласие посредством предварително отметнато поле“
1. Сближаване на законодателствата — Сектор на телекомуникациите — Обработка на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации — Директива 2002/58 — „Бисквитки“ — Съгласие на субекта на данни — Понятие — Изявление за даване на съгласие посредством предварително отметнато поле — Изключване
(член 4, точка 11 и член 6, параграф 1, буква а) от Регламент 2016/679 на Европейския парламент и на Съвета; член 2, буква з) от Директива 95/46 на Европейския парламент и на Съвета, както и член 2, буква е) и член 5, параграф 3 от Директива 2002/58 на Европейския парламент и на Съвета, изменена с Директива 2009/136)
(вж. т. 49—58, 60—63; т. 1 от диспозитива)
2. Сближаване на законодателствата — Сектор на телекомуникациите — Обработка на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации — Директива 2002/58 — „Бисквитки“ — Съгласие на субекта на данни — Понятие — Съхранявана или консултирана информация, която представлява или не лични данни — Липса на значение
(член 4, точка 11 и член 6, параграф 1, буква а) от Регламент 2016/679 на Европейския парламент и на Съвета; член 2, буква з) от Директива 95/46 на Европейския парламент и на Съвета, както и член 2, буква е) и член 5, параграф 3 от Директива 2002/58 на Европейския парламент и на Съвета, изменена с Директива 2009/136)
(вж. т. 68—71; т. 2 от диспозитива)
3. Сближаване на законодателствата — Сектор на телекомуникациите — Обработка на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации — Директива 2002/58 — „Бисквитки“ — Ясна и изчерпателна информация, която трябва да се даде от доставчика на услуги — Понятие — Продължителност на функционирането на бисквитките — Включване — Възможност на трети лица да имат или не достъп до бисквитките — Включване
(член 5, параграф 3 от Директива 2002/58 на Европейския парламент и на Съвета, изменена с Директива 2009/136)
(вж. т. 74—81; т. 3 от диспозитива)
Резюме
За поставяне на „бисквитки“ е необходимо активно съгласие от интернет потребителите
С решение от 1 октомври 2019 г., Planet49 (C‑673/17), Съдът, заседаващ в голям състав, постанови, че даването на съгласие за съхраняване на информация или за достъп до информация с помощта на бисквитки, инсталирани в крайното оборудване на потребител на интернет сайт, не е действително, когато разрешението произтича от предварително маркирано с отметка квадратче, независимо от това дали съответната информация представлява или не лични данни. Освен това Съдът уточнява, че доставчикът на услуги трябва да укаже на потребителя на интернет сайт в продължителността на функциониране на бисквитките, както и дали трети лица имат или не възможност за достъп до тях.
Спорът в главното производство е относно организирането на промоционална игра от Planet49 на интернет сайта www.dein-macbook.de. За да участват, интернет потребителите трябва да въведат името и адреса си на уебстраница, на която се намират полета за отбелязване. Полето, с което се разрешава инсталирането на бисквитки, е предварително отметнато. Сезиран с жалба на германската Федерация на сдруженията на потребители, Bundesgerichtshof (Федерален върховен съд, Германия) изпитва съмнения относно действителността на полученото от потребителите съгласие с помощта на предварително отметнато поле, както и относно обхвата на задължението за предоставяне на информация, възложено на доставчика на услуги.
Преюдициалното запитване по същество е относно тълкуването на понятието за съгласие по смисъла на Директивата за правото на неприкосновеност на личния живот и електронни комуникации(1) във връзка с Директива 95/46(2), както и с Общия регламент относно защитата на данните(3).
Първо, Съдът отбелязва, че член 2, буква з) от Директива 95/46, към която препраща член 2, буква е) от Директивата за правото на неприкосновеност на личния живот и електронни комуникации, дефинира съгласието като „всяко свободно изразено, конкретно и информирано указание за волята на съответното физическо лице, с което то дава израз на своето съгласие за обработка на личните данни, които се отнасят до него“. Той отбелязва, че изискването за „манифестиране“ на воля от страна на съответното лице очевидно изисква положително, а не отрицателно действие. Съгласието, дадено посредством предварително отметнато поле, обаче не е свързано с положително действие от страна на потребителя на интернет сайт. Освен това генезисът на член 5, параграф 3 от Директивата за правото на неприкосновеност на личния живот и електронни комуникации, която след изменението си с Директива 2009/136 предвижда, че потребителят трябва да „е дал своето съгласие“ за инсталирането на бисквитки, показва, че съгласието на потребителя вече не може да се презумира и трябва да произтича от негово положително действие. Накрая, активно съгласие вече се предвижда в Общия регламент относно защитата на данните(4), член 4, точка 11 от който изисква волеизявление под формата по-специално на „ясно потвърждаващо действие“, а съображение 32 от същия изрично изключва наличието на съгласие в случай на „мълчание[…], предварително отметнати[…] полета или липса[…] на действие“.
Поради това Съдът постановява, че даването на съгласие не е действително, когато съхраняването на информация или достъпът до информация, която вече се съхранява на крайното оборудване на потребител на интернет сайт, се позволява чрез предварително маркирано с отметка квадратче, от което потребителят трябва да премахне отметката, за да откаже съгласието си. Той добавя, че обстоятелството, че потребителят натиска бутона за участие в разглежданата промоционална игра, не би могло да бъде достатъчно, за да се счита, че даването на съгласие от негова страна за записването на бисквитки е било действително.
Второ, Съдът констатира, че член 5, параграф 3 от Директивата за правото на неприкосновеност на личния живот и електронни комуникации има за цел да защити потребителя от всяка намеса в личния му живот, независимо от въпроса дали намесата е свързана или не с лични данни. От това следва, че понятието за съгласие не трябва да се тълкува по различен начин в зависимост от това дали информацията, която се съхранява или консултира на крайното оборудване на потребител на сайт в Интернет, представлява или не лични данни.
Трето, Съдът отбелязва, че член 5, параграф 3 от Директивата за правото на неприкосновеност на личния живот и електронни комуникации изисква потребителят да е дал съгласие след получаване на ясна и изчерпателна информация, по-специално относно целите на обработването. Ясната и изчерпателна информация трябва да позволи на потребителя лесно да определи последиците от евентуално даденото съгласие и да гарантира, че съгласието се дава напълно съзнателно. В това отношение Съдът приема, че продължителността на функционирането на бисквитките, както и възможността трети лица да имат или не достъп до тези бисквитки, са част от ясната и изчерпателна информация, която трябва да се предостави на потребителя на интернет сайт от доставчика на услуги.